KI-Systeme und allgemeine KI-Modelle

• Regulation (EU) 2024/1689 — Artificial Intelligence Act, Articles 22 and 54
• Regulation (EU) 2019/1020 — market surveillance

Wer muss benennen

Anbieter, die außerhalb der Union ansässig sind und hochriskante KI-Systeme auf dem EU-Markt bereitstellen oder dort in Betrieb nehmen, müssen vorab einen bevollmächtigten Vertreter in der Union durch schriftliche Vollmacht ernennen. Dasselbe gilt gemäß Artikel 54 für Anbieter allgemeiner KI-Modelle, die auf dem Unionsmarkt bereitgestellt werden. Anbieter, die in der Union ansässig sind, haben eigene, leichtere Pflichten. Ein Anbieter wird zum Anbieter — mit den vollen Verpflichtungen —, wenn er seinen Namen auf ein hochriskantes System setzt, es wesentlich ändert oder seinen Verwendungszweck so ändert, dass es hochriskant wird.

Schwellen und Ausnahmen

Die verbotenen Praktiken in Artikel 5 gelten für alle ohne Schwellenwert. Die Vertretungspflicht bezieht sich auf hochriskante Systeme, die unter die Produktgesetzgebung des Anhangs I fallen oder im Anhang III aufgeführt sind: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Arbeitnehmerverwaltung, Zugang zu wesentlichen Dienstleistungen einschließlich Kreditbewertung, Strafverfolgung, Migration und Grenzkontrolle sowie Verwaltung der Justiz. Allgemeine Modelle haben ihr eigenes Regime, mit zusätzlichen Verpflichtungen für Modelle, die ein systemisches Risiko über der Berechnungsgrenze darstellen.

Was auf das Etikett gehört

Kein physisches Etikett für die meisten Systeme. Der Name, Handelsname oder die Marke des Anbieters sowie die Adresse und die des bevollmächtigten Vertreters müssen auf dem System, seiner Verpackung oder seiner Begleitdokumentation sowie in den Gebrauchsanweisungen erscheinen. Hochriskante Systeme, die Produkte gemäß Anhang I sind, tragen das CE-Zeichen. Systeme, die mit Menschen interagieren, müssen offenlegen, dass sie KI sind, und synthetische Inhalte müssen in einem maschinenlesbaren Format gekennzeichnet werden.

Marktplatz-Felder

Noch kein Marktplatzfeld, aber EU-Beschaffungsfragebögen fragen bereits, wer der Vertreter gemäß Artikel 22 ist, ob das System als hochriskant eingestuft ist und wie die Transparenzpflichten erfüllt werden. Unternehmenskäufer verlangen dies zunehmend vor Vertragsabschluss, vor der Frist im August 2026.

Unterlagen, die Sie vorhalten müssen

Technische Dokumentation gemäß Anhang IV, die zehn Jahre lang aufbewahrt wird. Ein Risikomanagementsystem, das über den gesamten Lebenszyklus läuft. Datenverwaltungsdokumentation, die Trainings-, Validierungs- und Testdatensätze abdeckt. Automatisch generierte Protokolle. Gebrauchsanweisungen, die es den Anbietern ermöglichen, ihren eigenen Verpflichtungen nachzukommen. Ein Qualitätsmanagementsystem. Die EU-Konformitätserklärung und die Registrierung in der EU-Datenbank für Systeme gemäß Anhang III. Für allgemeine Modelle technische Dokumentation für das KI-Büro und für nachgelagerte Anbieter, eine Urheberrechtspolitik und eine ausreichend detaillierte öffentliche Zusammenfassung des Trainingsinhalts.

Normen und Prüfungen

Konformitätsbewertung basierend auf interner Kontrolle für die meisten Systeme gemäß Anhang III oder durch eine benannte Stelle für biometrische Systeme, bei denen harmonisierte Standards nicht angewendet werden. Systeme, die in Produkte gemäß Anhang I eingebettet sind, folgen dem Bewertungsweg dieses Produkts. Genauigkeit, Robustheit und Cybersicherheit müssen getestet und die Werte erklärt werden. Die Marktüberwachung erfolgt auch nach der Markteinführung.

Sprachanforderungen

Gebrauchsanweisungen in einer Sprache, die von den Anbietern im betreffenden Mitgliedstaat leicht verstanden wird, wie es dieser Staat bestimmt. Transparenzoffenlegungen an Einzelpersonen in der Sprache, die sie vernünftigerweise verstehen würden.

Ab wann es gilt

Verbote und Verpflichtungen zur KI-Kompetenz seit dem 2. Februar 2025. Verpflichtungen für allgemeine Modelle seit dem 2. August 2025, wobei Modelle, die vor diesem Datum bereits auf dem Markt sind, bis August 2027 Zeit haben. Hochriskante Verpflichtungen gemäß Anhang III ab dem 2. August 2026. Hochriskante Systeme, die in regulierten Produkten gemäß Anhang I eingebettet sind, ab dem 2. August 2027.

Aufbewahrungsfristen

Technische Dokumentation, die Konformitätserklärung und die Dokumentation des Qualitätsmanagements für zehn Jahre nach der Markteinführung des Systems aufbewahren. Protokolle für mindestens sechs Monate, es sei denn, andere Gesetze verlangen eine längere Aufbewahrung. Der bevollmächtigte Vertreter bewahrt eine Kopie des Mandats und der Dokumentation für dieselben zehn Jahre auf und muss diese auf Anfrage vorlegen.

Was bei Verstößen passiert

Bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes für verbotene Praktiken. Bis zu 15 Millionen Euro oder 3 % für Verstöße gegen die meisten anderen Verpflichtungen, einschließlich der der Anbieter und bevollmächtigten Vertreter. Bis zu 7,5 Millionen Euro oder 1 % für die Bereitstellung falscher, unvollständiger oder irreführender Informationen. Marktüberwachungsbehörden können auch den Rückzug oder die Rückruf eines Systems verlangen.

Wer kontrolliert

Nationale Marktüberwachungsbehörden, die von jedem Mitgliedstaat benannt werden, das KI-Büro für allgemeine Modelle, der Europäische Ausschuss für künstliche Intelligenz und benannte Stellen, wo eine Drittbewertung gilt.

Wo die Grenze verläuft

Die meisten Geschäftsanwendungen sind nicht hochriskant, und die Klassifizierung hängt von der Nutzung und nicht von der Technologie ab: dasselbe Modell kann in einem Einsatz niedrigriskant und im anderen hochriskant gemäß Anhang III sein. Ein Chatbot hat nur Transparenzpflichten. Aber eine KI, die zur Überprüfung von Bewerbern, zur Bewertung der Kreditwürdigkeit oder zur Zuteilung des Zugangs zu öffentlichen Dienstleistungen verwendet wird, ist hochriskant, unabhängig davon, wie einfach das Modell ist. Der bevollmächtigte Vertreter kann das Mandat kündigen, wenn er glaubt, dass der Anbieter gegen die Verordnung handelt, und muss dann die Behörde informieren — eine Pflicht, die es in Artikel 27 DSGVO nicht gibt.

Häufige Fragen

Wir verwenden KI, bauen sie aber nicht — sind wir ein Anbieter?

Normalerweise sind Sie ein Anbieter, mit leichteren Pflichten. Sie werden zum Anbieter, wenn Sie Ihren Namen auf ein hochriskantes System setzen, es wesentlich ändern oder seinen Verwendungszweck so ändern, dass es hochriskant wird.

Gilt das KI-Gesetz für ein Modell, das wir außerhalb der EU hosten?

Ja, wenn die Ausgabe in der Union verwendet wird oder wenn das System oder Modell auf dem Unionsmarkt bereitgestellt wird. Der physische Standort der Server ist nicht das Kriterium.

Ist ein Vertreter gemäß Artikel 27 DSGVO ausreichend?

Nein. Es handelt sich um separate Ernennungen unter separaten Vorschriften, mit unterschiedlichen Pflichten und unterschiedlichen Dokumentationen, selbst wenn ein Anbieter beide hat.